वेब पर व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर की दो कमजोरियों के लिए आपातकालीन सुधार
दक्षिण कोरिया की कोरिया इंटरनेट एंड सिक्योरिटी एजेंसी (KISA) ने 21 अक्टूबर, 2026 को वेबसाइट संचालकों से PHP अपडेट करने की अपील की। इससे पहले उस सॉफ्टवेयर में दो सुरक्षा कमजोरियों की पहचान हुई थी, जिसका इस्तेमाल लॉगिन पेज, शॉपिंग सेवाएं और चर्चा मंच चलाने के लिए किया जाता है। बताई गई आशंकाओं में यह भी शामिल है कि हमलावर बिना लॉगिन किए सर्वर पर कोड चला सकते हैं।
विषय-सूची
- वेब पर व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर की दो कमजोरियों के लिए आपातकालीन सुधार
- किन PHP संस्करणों पर ध्यान देना जरूरी है?
- दोनों कमजोरियां क्या कर सकती हैं
- WordPress के कारण यह समस्या आम व्यवसायों तक कैसे पहुंचती है
- दक्षिण कोरिया ने दो सुरक्षा चैनलों के जरिए व्यवसायों से संपर्क किया
- कार्रवाई कैसे आगे बढ़ी
- AI से खोज और स्वतंत्र सुरक्षा शोध
- कुछ अधिकारियों ने वेबसाइटें ऑफलाइन करने की सलाह क्यों दी
- संचालकों को अब क्या करना चाहिए
- मुख्य बातें
KISA ने कमजोरियों की पहचान CVE-2026-109618 के रूप में की, जो अपवादजनक स्थितियों को गलत तरीके से संभालने से जुड़ी है, और CVE-2026-109619 के रूप में, जो जारी की जा चुकी मेमोरी के दोबारा इस्तेमाल से संबंधित है। एजेंसी की अपडेट संबंधी सलाह PHP की चार रिलीज शाखाओं पर लागू होती है: 8.2.35, 8.3.36, 8.4.27 और 8.5.12।
दक्षिण कोरिया के विज्ञान एवं ICT मंत्रालय और KISA ने 21 अक्टूबर की रात राष्ट्रीय साइबर सुरक्षा नेटवर्क से जुड़ी कंपनियों और संस्थानों को सुरक्षा संबंधी अनुरोध भेजे। सरकारी अधिकारियों ने 22 अक्टूबर को इस संपर्क अभियान का ब्योरा दिया। छोटे व्यवसायों को पैच लगाने में मदद के लिए आपातकालीन सहायता देने पर विचार किया जा रहा था।
PHP2Shell के सामूहिक नाम से बताई गई इन कमजोरियों पर अंतरराष्ट्रीय स्तर पर कार्रवाई हुई। खबरों के मुताबिक, नीदरलैंड और फिनलैंड के कुछ सरकारी संस्थानों ने एहतियातन वेबसाइटें बंद कर दीं, जबकि यूरोप, जापान और ऑस्ट्रेलिया के साइबर सुरक्षा अधिकारियों ने अपडेट करने की अपील की। खबरों के अनुसार, अमेरिका की एजेंसियों ने भी सलाह दी कि अगर तुरंत पैच लगाना संभव न हो तो प्रभावित सिस्टम को ऑफलाइन कर दिया जाए।
किन PHP संस्करणों पर ध्यान देना जरूरी है?
KISA की सलाह में प्रभावित PHP की हर शाखा के लिए अलग न्यूनतम संस्करण दिया गया है। शाखा रिलीज का एक परिवार होती है। उदाहरण के लिए, PHP 8.3 इस्तेमाल करने वाली वेबसाइट को उसी परिवार का सुधार वाला संस्करण या उससे नया, उपयुक्त और समर्थित संस्करण इस्तेमाल करना होगा।
- PHP 8.2: 8.2.35 से पुराने संस्करण अपडेट करें।
- PHP 8.3: 8.3.36 से पुराने संस्करण अपडेट करें।
- PHP 8.4: 8.4.27 से पुराने संस्करण अपडेट करें।
- PHP 8.5: 8.5.12 से पुराने संस्करण अपडेट करें।
KISA ने यह भी चेताया कि PHP 8.1 और इससे पुराने संस्करणों के लिए आधिकारिक सुरक्षा सहायता समाप्त हो चुकी है। इन रिलीज का इस्तेमाल करने वाले संचालकों को ऐसे सॉफ्टवेयर पर बने रहने के बजाय समर्थित संस्करण पर जाने की सलाह दी गई, जिसका आधिकारिक सुरक्षा रखरखाव बंद हो चुका है।
व्यवसाय मालिकों के लिए शुरुआत का व्यावहारिक कदम यह पता करना है कि वेबसाइट के सर्वर पर PHP का कौन-सा संस्करण चल रहा है। यह सॉफ्टवेयर होस्टिंग कंपनी संभाल सकती है या इसकी जिम्मेदारी कंपनी की आंतरिक तकनीकी टीम की हो सकती है। लैपटॉप का ब्राउज़र अपडेट करने से सिस्टम का एक अलग हिस्सा बदलता है।
दोनों कमजोरियां क्या कर सकती हैं
CVE-2026-109618 अपवादजनक स्थितियों से जुड़ी है, यानी ऐसी परिस्थितियां जिनमें सॉफ्टवेयर अपने सामान्य संचालन से अलग स्थिति का सामना करता है। प्रोग्रामों को इन स्थितियों को सुरक्षित तरीके से संभालना होता है। ऐसा करने में चूक से सॉफ्टवेयर अनपेक्षित ढंग से काम कर सकता है।
CVE-2026-109619 को ‘यूज़ आफ्टर फ्री’ कमजोरी बताया गया है। सॉफ्टवेयर कंप्यूटर मेमोरी के कुछ हिस्से अस्थायी रूप से अपने इस्तेमाल के लिए रखता है और काम पूरा होने पर उन्हें खाली कर देता है। इस तरह की खामी तब होती है जब कोई प्रोग्राम बाद में उस मेमोरी हिस्से का इस्तेमाल करने की कोशिश करता है जिसे वह पहले ही खाली कर चुका हो। इससे ऐसे डेटा तक पहुंच बन सकती है जो बदल चुका है या किसी दूसरे काम से जुड़ा है।
बताया गया खतरा बिना प्रमाणीकरण के दूर से कोड चलाने का है। आसान शब्दों में, कोई बाहरी व्यक्ति वैध उपयोगकर्ता नाम या पासवर्ड दिए बिना वेबसाइट के सर्वर से निर्देश चलवा सकता है। सफल हमले से जानकारी उजागर हो सकती है, दुर्भावनापूर्ण सॉफ्टवेयर इंस्टॉल हो सकता है या सेवाएं बाधित हो सकती हैं।
सार्वजनिक घोषणाओं में यह नहीं बताया गया कि हर कमजोरी का फायदा उठाने के लिए सर्वर का सटीक कॉन्फिगरेशन और किन अनुरोधों की जरूरत होगी। इसलिए संचालकों को प्रभावित सॉफ्टवेयर संस्करणों की जांच करनी चाहिए और अपने इंस्टॉलेशन के लिए तकनीकी मार्गदर्शन लेना चाहिए।
WordPress के कारण यह समस्या आम व्यवसायों तक कैसे पहुंचती है
PHP वेबसाइट के सर्वर पर चलता है, विज़िटर के फोन या कंप्यूटर पर नहीं। जब कोई ग्राहक अपने ऑर्डर का इतिहास देखने को कहता है, तो PHP प्रोग्राम डेटाबेस से संबंधित रिकॉर्ड निकालकर ब्राउज़र को भेजे जाने वाले पेज को तैयार कर सकता है। लॉगिन सिस्टम, टिप्पणियां और संदेश बोर्ड भी इसी तरह काम कर सकते हैं।
वेबसाइट बनाने और प्रबंधित करने के टूल देने वाला WordPress भी PHP पर चलता है। इस वजह से सुरक्षा कार्रवाई का संबंध ब्लॉग, कंपनी की वेबसाइटों और ऑनलाइन दुकानों से जुड़ता है, जिनके मालिक शायद ही कभी सीधे प्रोग्रामिंग भाषा से काम करते हों।
वेब तकनीक मापन सेवा W3Techs के नाम से दिए गए आंकड़ों के अनुसार, जिन वेबसाइटों की सर्वर प्रोग्रामिंग भाषा की पहचान की जा सकती है, उनमें करीब 75% PHP का इस्तेमाल करती हैं। सभी वेबसाइटों में WordPress का हिस्सा करीब 43% है। PHP का आंकड़ा WordPress के आंकड़े से छोटे दायरे पर आधारित है: इसमें हर वेबसाइट के बजाय केवल वे वेबसाइटें शामिल हैं जिनकी सर्वर भाषा की पहचान हो सकती है।
ये आंकड़े बताते हैं कि कार्रवाई का दायरा इतना व्यापक क्यों है। कई स्वतंत्र रूप से संचालित वेबसाइटें एक ही बुनियादी सॉफ्टवेयर पर निर्भर हैं, इसलिए सुधार अभियान में सार्वजनिक संस्थान, बड़ी कंपनियां और छोटे व्यवसाय एक साथ शामिल हो सकते हैं।
दक्षिण कोरिया ने दो सुरक्षा चैनलों के जरिए व्यवसायों से संपर्क किया
विज्ञान एवं ICT मंत्रालय और KISA ने 21 अक्टूबर को C-TAS के सदस्यों और उन कंपनियों को सुरक्षा संबंधी अनुरोध भेजे, जिन्हें मुख्य सूचना सुरक्षा अधिकारी यानी CISO नियुक्त करना अनिवार्य है। C-TAS साइबर खतरे की जानकारी का विश्लेषण और साझा करने वाली व्यवस्था है।
C-TAS में करीब 5,900 कंपनियां और संस्थान भाग लेते हैं। दक्षिण कोरिया के सूचना एवं संचार नेटवर्क कानून के तहत करीब 30,000 कंपनियों को CISO नियुक्त करना और मंत्रालय को इसकी सूचना देना जरूरी है। CISO किसी संगठन में सूचना सुरक्षा के लिए जिम्मेदार वरिष्ठ अधिकारी होता है।
ये दोनों आंकड़े संपर्क किए गए अलग-अलग समूहों को दर्शाते हैं, हालांकि कुछ संगठन दोनों समूहों में शामिल हो सकते हैं। सरकार ने सुरक्षा अपडेट और पैच लगाने की सलाह देने के लिए KISA के सार्वजनिक साइबर सुरक्षा पोर्टल, जिसे बोहो नारा के नाम से जाना जाता है, का भी इस्तेमाल किया।
छोटे व्यवसायों के सामने कर्मचारियों की कमी की व्यावहारिक समस्या है: कुछ के पास ऐसे कर्मचारी नहीं हैं जो प्रभावित इंस्टॉलेशन की पहचान कर सकें, अपडेट की व्यवस्था करें और बाद में जांचें कि वेबसाइट अब भी ठीक से काम कर रही है या नहीं। मंत्रालय के एक अधिकारी ने कहा कि सरकार ने पहले सुरक्षा मार्गदर्शन भेजा था और आपातकालीन पैच सहायता देने पर विचार कर रही थी। इस सहायता की शुरुआत की तारीख या पात्रता के नियम घोषित नहीं किए गए।
कार्रवाई कैसे आगे बढ़ी
रिपोर्ट के मुताबिक, घटनाक्रम 2024 में बाहरी सुरक्षा ऑडिट से शुरू हुआ और अक्टूबर 2026 में सुधारों को तय समय से पहले जारी करने तक पहुंचा। अहम तारीखें इस प्रकार हैं:
- 2024: बाहरी ऑडिट में कथित तौर पर कुछ खामियों के संकेत मिले। आंतरिक मतभेद और मौजूदा सॉफ्टवेयर के साथ अनुकूलता को लेकर चिंताओं को उस समय पैच का विकास आगे न बढ़ने की वजह बताया गया।
- 21 अक्टूबर, 2026: खबरों के अनुसार, PHP डेवलपरों ने दो कमजोरियों के सुधार जारी किए और KISA ने अपडेट संबंधी सलाह दी।
- 21 अक्टूबर की रात: दक्षिण कोरिया के अधिकारियों ने व्यवसायों और संस्थानों के चैनलों के जरिए सुरक्षा अनुरोध भेजे।
- 22 अक्टूबर: दक्षिण कोरिया के अधिकारियों ने संपर्क अभियान का ब्योरा दिया। पैच जारी करने की मूल रूप से तय तारीख भी यही थी।
खबरों के मुताबिक, कमजोरियों की जानकारी लीक होने के बाद पैच एक दिन पहले जारी किए गए। यह भी बताया गया कि सुधार सार्वजनिक होने से पहले ही हमले की कोशिशों का पता चला था, जिससे संचालकों पर तुरंत कार्रवाई का दबाव बढ़ा।
2024 के ऑडिट का यह विवरण रखरखाव की चुनौती की ओर भी इशारा करता है। साझा सॉफ्टवेयर में बदलाव से उसके मौजूदा व्यवहार के आधार पर बनाए गए एप्लिकेशन प्रभावित हो सकते हैं। अनुकूलता संबंधी चिंताओं के कारण सुधारों के बीच तालमेल मुश्किल हो सकता है, खासकर तब जब कोई भाषा कई अलग-अलग वेबसाइटों और होस्टिंग व्यवस्थाओं को सहारा देती हो।
AI से खोज और स्वतंत्र सुरक्षा शोध
खबरों के अनुसार, साइबर सुरक्षा कंपनी Calif ने OpenAI के एक मॉडल, जिसे GPT-5.6 Sol बताया गया, की मदद से कमजोरियों की पहचान की। बताया गया कि ये खामियां एक दशक से अधिक समय तक पहचान में नहीं आई थीं।
Google से संबद्ध साइबर सुरक्षा कंपनी Wiz ने कथित तौर पर स्वतंत्र रूप से दोनों कमजोरियों का पता लगाया और उनकी जानकारी दी। Wiz के सह-संस्थापक Ami Luttwak ने उन्हें AI के इस्तेमाल से खोजी गई सबसे गंभीर कमजोरियां बताया और कहा कि AI के बिना उनकी जटिलता के कारण उन्हें खोजना बेहद मुश्किल होता।
OpenAI ने कहा कि उसने कार्रवाई में मदद के लिए पिछले दो महीनों के दौरान शोधकर्ताओं और साइबर सुरक्षा कंपनियों के बीच तालमेल बैठाया था। उसने यह भी अनुमान जताया कि आने वाले महीनों में AI की मदद से ऐसी खोजों में तेज बढ़ोतरी होगी।
वेबसाइट संचालकों के लिए तत्काल काम स्पष्ट है: इंस्टॉल किए गए सॉफ्टवेयर की पहचान करें, उपयुक्त सुधार लागू करें और सेवाओं को चालू रखें। खोज में AI का इस्तेमाल इस घटनाक्रम का एक और पहलू है, जिसके साथ स्वतंत्र शोध, डेवलपरों के बीच तालमेल और पैच का वितरण भी शामिल है।
कुछ अधिकारियों ने वेबसाइटें ऑफलाइन करने की सलाह क्यों दी
खबरों के अनुसार, अमेरिकी राष्ट्रीय सुरक्षा एजेंसी ने PHP इस्तेमाल करने वाले संगठनों से तुरंत अपडेट करने की अपील की और चेतावनी दी कि हमले से हमलावरों को सर्वर के फाइल सिस्टम या डेटाबेस तक पहुंच मिल सकती है। उसने सलाह दी कि अगर तुरंत अपडेट करना संभव न हो तो कमजोरियां ठीक होने तक प्रभावित सिस्टम ऑफलाइन कर दिए जाएं।
खबरों के मुताबिक, FBI ने भी इसी तरह की सलाह दी और दूर से कोड चलाने तथा संवेदनशील जानकारी और नेटवर्क के संभावित खुलासे को लेकर चेताया। नीदरलैंड और फिनलैंड के कुछ सरकारी संस्थानों ने एहतियाती कदम के तौर पर वेबसाइटें बंद कर दीं।
वेबसाइट ऑफलाइन करने की तत्काल कीमत चुकानी पड़ती है: विज़िटर उससे मिलने वाली सेवाओं का इस्तेमाल नहीं कर पाते। किसी दुकान की बिक्री रुक सकती है, जबकि सार्वजनिक संस्थान की जानकारी या ऑनलाइन फॉर्म उपलब्ध नहीं रह सकते। यह सलाह इस बात को दर्शाती है कि सुधार का इंतजार करते हुए खुले सर्वर को पहुंच योग्य छोड़ना कितना गंभीर जोखिम है।
Cloudflare ने कहा कि वह हमले के तरीकों के अनुरूप सुरक्षा उपाय अपडेट कर रहा है। वेबसाइट संचालकों को PHP के सुधार इंस्टॉल करने की सलाह भी दी गई, ताकि बुनियादी सॉफ्टवेयर सुरक्षा कार्रवाई में बताए गए संस्करणों तक अपडेट हो सके।
संचालकों को अब क्या करना चाहिए
वेबसाइट संचालकों को पता करना चाहिए कि उनके PHP इंस्टॉलेशन का नियंत्रण किसके पास है और उसके संस्करण की तुलना KISA की सूची में दी गई न्यूनतम सीमाओं से करनी चाहिए। होस्टिंग प्रदाता इस्तेमाल करने वाले संगठनों को सर्वर के संस्करण और अपडेट की व्यवस्था की पुष्टि उसी प्रदाता से करानी होगी। अपने सर्वर संभालने वाली टीमों को यह बदलाव खुद करना होगा।
WordPress चलाने वाले व्यवसायों को नियमित वेबसाइट रखरखाव के साथ PHP रनटाइम की भी जांच करनी चाहिए। PHP कंटेंट मैनेजमेंट सिस्टम के नीचे की एक अलग सॉफ्टवेयर परत है, इसलिए सिर्फ WordPress का संस्करण जानने से इंस्टॉलेशन का एक हिस्सा जांच से बाहर रह जाता है।
PHP 8.1 या उससे पुराने संस्करण इस्तेमाल करने वाले संचालकों को समर्थित रिलीज पर जाना होगा। प्रभावित शाखा का संस्करण इस्तेमाल कर रहे लोगों को संबंधित सुधार वाला संस्करण या उपयुक्त नया समर्थित संस्करण लेना होगा। ग्राहक लॉगिन, ऑर्डर की जानकारी निकालने और भुगतान जैसी जरूरी सुविधाओं की जांच से अपडेट के दौरान सेवा संबंधी समस्याओं का पता लगाने में मदद मिलेगी।
मुख्य बातें
- KISA ने 21 अक्टूबर, 2026 को PHP सुरक्षा अपडेट की सलाह जारी की और CVE-2026-109618 तथा CVE-2026-109619 की पहचान की।
- अपडेट के लिए सूचीबद्ध न्यूनतम संस्करण PHP 8.2.35, 8.3.36, 8.4.27 और 8.5.12 हैं।
- KISA ने PHP 8.1 और इससे पुराने संस्करणों के उपयोगकर्ताओं को समर्थित संस्करण पर जाने की सलाह दी।
- बताए गए जोखिमों में हमलावरों का बिना लॉगिन किए दूर से कोड चलाना शामिल है।
- दक्षिण कोरिया ने सुरक्षा नेटवर्क के सदस्यों और CISO नियुक्त करने के लिए बाध्य कंपनियों से संपर्क किया।
- दक्षिण कोरिया के छोटे व्यवसायों के लिए आपातकालीन पैच सहायता देने पर विचार किया जा रहा था।
- अंतरराष्ट्रीय अधिकारियों ने अपडेट करने की अपील की। कुछ ने सलाह दी कि तुरंत पैच लगाना संभव न हो तो वेबसाइटें अस्थायी रूप से बंद कर दी जाएं।
